Добро пожаловать в базу знаний

ClamAV и maldet - антивирусные сканеры для Linux серверов

0
ClamAV

Документация

Установка: https://linux.die.net/HOWTO/Postfix-Cyrus-Web-cyradm-HOWTO/installing-anti-spam.html
Настройки конфигурации/etc/clamav/clamd.conf: https://linux.die.net/man/5/clamd.conf
Параметры консольного запуска: https://linux.die.net/man/5/clamd.conf

Работа с антивирусным сканером

Установка на сервер:

~# sudo apt-get install clamav

После установки нужно обновить вирусные базы ClamAV:
~# freshclam

Cканирование содержимого корневой директории /:

~# clamscan -r /

Чтобы зараженные файлы удалялись автоматически, добавьте параметр --remove, значение --move=/<директория> будет отправлять их в карантин:

~# clamscan /etc --remove

~# clamscan /etc --move=/help

Для исключения файла из результатов сканирования по ложному срабатыванию: 

 - открываем конфигурационный файл clamd.conf

nano /etc/clamav/clamd.conf

- добавляем строку

ExcludePath ^/var/www/userXXXX/data/www/domain.ru/files/
 
Linux Malware Detect (maldet)

C помощью движка ClamAV может выполняться более быстрое сканирование антивирусом Linux Malware Detect (maldet).

Скачать, распаковать и установить можно 

~# wget https://www.rfxn.com/downloads/maldetect-current.tar.gz - скачиваем с сайта разработчика ~# tar -xvzf maldetect-current.tar.gz - распаковываем

~# ls -l | grep maldetect - узнаем директорию и актуальной версию maldetect

~# cd maldetect-x.x.x - переходми в эту директорию
~# ./install.sh - утанавливаем

Для сканирование файлов выполняем команду
maldet -a

Для помещения в карантин
maldet -q

Просмотр файлов, помещенных в карантин
ls /usr/local/maldetect/quarantine


Пример работы maldet

root@g7 ~ # maldet -a /var/www/user42766/data/www/
Linux Malware Detect v1.4.2
(C) 2002-2013, R-fx Networks <Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в браузере должен быть включен Javascript.>
(C) 2013, Ryan MacDonald <Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в браузере должен быть включен Javascript.>
inotifywait (C) 2007, Rohan McGovern <Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в браузере должен быть включен Javascript.>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(30139): {scan} signatures loaded: 13716 (11815 MD5 / 1901 HEX)
maldet(30139): {scan} building file list for /var/www/user42766/data/www/, this might take awhile...
maldet(30139): {scan} file list completed, found 109885 files...
maldet(30139): {scan} found ClamAV clamscan binary, using as scanner engine...
maldet(30139): {scan} scan of /var/www/userXXXX/data/www/ (109885 files) in progress...
maldet(30139): {scan} processing scan results for hits: 40 hits 0 cleaned
maldet(30139): {scan} scan completed on /var/www/userXXXX/data/www/: files 109885, malware hits 40, cleaned hits 0
maldet(30139): {scan} scan report saved, to view run: maldet --report 021015-1108.30139
maldet(30139): {scan} quarantine is disabled! set quar_hits=1 in conf.maldet or to quarantine results run: maldet -q 021015-1108.30139
maldet(30139): {alert} sent scan report to Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в браузере должен быть включен Javascript.
maldet -q 021015-1108.30139 для помещения в карантин

Защита Виртуальные серверы